Wenn ihr euch beim Journalisten-Meetup von Facebook registrieren möchtet: Macht es nicht! Eure Daten erscheinen dann im Klartext im Netz. Ich recherchiere die Geschichte gerade nach und aktualisiere diesen Text laufend.
Was passiert ist
In dieser Woche ist eine Facebook-Seite für Journalisten bekannt geworden. Hier soll es Infos und Anleitung für „social journalism“ geben. Anbei ein kleines Registrationsformular für Meetups. Wer Interesse an Facebook-Journalisten-Treffen hat, kann sich einfach eintragen. Dies habe ich getan, worauf ich gerade folgenden Tweet geschickt bekommen habe:
Schau mal an, die Daten von @fiene tauchen nach der Facebook-Registrierung auch hier auf: http://www.kristinthayer.com/FBjournalist/reg.txt
@philippostrop
Philipp Ostrop wurde in den Kommentaren bei Meedia auf diese Datei aufmerksam, da sich dort ein Leser angeblich über diese Fehlermeldung wunderte: „Informationen von dieser sicheren Seite werden an eine nicht sichere Seite auf www.kristinthayer.com gesendet. Vom Übermitteln sensibler Informationen wird dringend abgeraten.“
Und tatsächlich – unter http://www.kristinthayer.com/FBjournalist/reg.txt können alle Registranten abgerufen werden. Das sieht zum Zeitpunkt meines Aufrufs so aus:
In jeder Zeile gibt es einen Datensatz. Hierbei handelt es sich aber -nach meiner ersten Einschätzung- um keinen Datenklau, sondern einfach um eine schlecht programmierte App. Wer ein Verzeichnis mit vielen Datenhaben möchte Ich habe mir das Stamm-Verzeichnis einmal genauer angesehen:
Hier sehen wir alle Dokumente, die auf das Facebook-Journalisten-Seite als App eingebunden sind. Als Journalist, der etwas programmieren kann, muss ich sagen: Das ist dilettantisch! Zumindest hätte das Verzeichnis geschützt werden müssen und im zweiten Schritt hätten die Daten überhaupt nicht in einer auslesbaren Textdatei frei im Netz abgelegt werden dürfen.
Wahrscheinlich war Kirstin Thayer mit der Erstellung der Facebook-Seite vertraut und hat die Facebook-App-Dateien auf ihren eigenen Server abgelegt. Dieses Vorgehen ist nicht unüblich.
Ich habe Facebook geschrieben und um eine Stellungnahme gebeten. Vorerst kann ich nur empfehlen: Nutzt nicht dieses Facebook-Formular!
Update 19:04 Uhr Die Textdatei ist nicht mehr erreichbar – das Verzeichnis ist gesperrt.
Update 19:15 Uhr Einige haben die Befürchtung, dass die Daten „entwendet“ worden sind, es sieht aber tatsächlich eher nach meiner App-Vermutung aus, denn bei Kirstin Thayer handelt es sich um eine Facebook-Angestellte. Zumindest ist ihr privater Server benutzt worden, um die App abzuspeichern. Thayer arbeitet seit Oktober 2008 bei Facebook in Palo Alto (Kalifornien) und ist für Platform Partnerships zuständig.
Update, Freitag (08.04.11) 09:00 Uhr Die Geschichte hat wirklich einen faden Beigeschmack. Von einem Milliardenkonzern der mein Vertrauen fordert, erwarte ich größte Sorgfalt. Niemand hat auf die Facebook-Journalisten-Seite gewartet. Da hätte noch einmal ein Kollege mehr drüber schauen können und wir hätten uns auch in der nächsten Woche drüber gefreut. Ich warte noch auf Feedback, dass die App „sicher“ ist und wieder benutzt werden kann. Ich lasse es euch wissen.
Update 10:09 Uhr Tina von Facebook hat hier in den Kommentaren geantwortet. Lest es euch mal durch.
Update 13:32 Uhr Kleines Medienecho:
– chriszim.com: Facebook-App wirft Daten ins Netz [UPDATE]
– Meedia: Facebook und die Journalisten-Datenpanne
– Neue Zürcher Zeitung: Das ist dilettantisch!
Daniel Brckerhoff meint
Danke für das Aufdecken. Gute Story. Allerdings wäre mir aus Datenschutzgründen wohler, wenn Du den Link zu dem txt-File nicht posten würdest. Da stehen ja Klarnamen, Emailadressen, Location und Medium drin! Klar, das Ding ist eh öffentlich. Aber mach es doch Datendieben nicht noch einfacher als es eh ist. Liebe Grüße,
daniel meint
Das Problem ist: Du kannst die Datei eh aus deinem Browser auslesen. Wird über das Problem geschrieben, ist quasi auch die Datei bekannt. Deswegen finde ich es gar nicht schlecht, wenn die App-Macher unter Druck gesetzt werden schnell zu handeln.
Benedikt meint
Ob das von Kristin Thayer so weise war, unfertige App-DBs auf der privaten Seite zu hosten? (Vermutung)
http://www.linkedin.com/in/kthayer
Uta meint
Danke für’s Aufdecken! – Und interessant, dass Frau Thayer als Facebook-Mitarbeiterin bei den Dummy-Einträgen eine Google-Adresse benutzt hat. Wenn nicht einmal Facebook-Mitarbeiter Facebook-Mail nutzen …
daniel meint
@Benedikt – Ich glaube nicht 😉 Apps wo anders zu hosten ist ja üblich, aber die sollten dann wenn schon fertig sein …
@Uta – FBMail: So true …
Tina Kulow meint
Hallo und danke Daniel, nochmal für den Hinweis gestern – es war in der Tat keine Panne oder Lücke, sondern ein Fehler – doof aber fix behoben! Viele Grüße Tina @ Facebook
daniel meint
Tina, danke für die Info. Wobei mir der Unterschied zwischen Panne, Lücke oder Fehler jetzt nicht ganz klar ist 😉 Aber ich glaube, wir meinen das gleiche. Gruß, Daniel
Thomas Springer meint
Ist das nicht immer noch online hier:
http://www.kristinthayer.com/page1.html
Btw: Man beachte die nette Farbgebung des Tops im Video…
daniel meint
Hallo Thomas,
die App ist online – aber nicht das Datendokument. Oder siehst du auf dem Link den du gepostet hast noch die Daten der Facebook-Nutzer?
Gruß, Daniel
Michael Schwarz meint
Es wird noch immer das iFrame http://www.kristinthayer.com/FBjournalist/registration.php nachgeladen, weshalb auch noch immer die Sicherheitswarnung angezeigt wird, dass Daten unverschlüsselt übertragen werden.
Die Textdatei (reg.txt) wurde sehr wahrscheinlich einfach nur umbenannt und das Directory wird nicht mehr gelistet, was schon alles ist, was da „fix behoben“ wurde. Aber Facebook sind doch die Guten. ;O)
Sick meint
Bleibt fraglich welche „kritischen“ Daten denn veröffentlicht wurden.
Zu jedem halbwegs bekanntem lokal Journalist lässt sich ein E-Mail Kontakt finden.
Und betreibt er eine eigene Webseite, hat er ja zum Glück seine Post-Adresse registriert.
Aber da ist natürlich nicht so spannend wie eine Story über Facebook…
MFG
daniel meint
Hallo Sick,
das ist natürlich klar – das sind keine über-schlimmen Daten, die hier veröffentlicht wurden. Das ist schon gar nicht schlimmer, weil es sich um Journalisten-Daten handelt. Ich stimme sogar zu, dass Journalisten eine gewisse Erreichbarkeit haben sollten.
Aber es gibt einen gewaltigen Knackpunkt bei dieser Geschichte: Mir muß mein Recht bleiben, selbst zu bestimmen, welche Daten veröffentlicht werden – und welche nicht. In dieser Meetup-Registrierung haben viele Journalisten mit privaten Adressen gearbeitet. Vielleicht möchten sie lieber eine andere E-Mail-Adresse öffentlich verwenden.
Welche Adresse ich bei der Domainregistrierung oder bei in einem öffentlichen Profil angegeben wird, kann ich selbst bestimmen.
Facebook hat bis heute die betroffenen Personen weder angeschrieben, noch wurde an anderer Stelle informiert. Ein souveräner Umgang mit einer Panne sieht anders aus. Wie wird Facebook dann handeln, wenn es einmal eine eigene Panne gibt, bei der kritische Daten verunglücken?
Daniel